姊妹站最新文章
事件經過
德國大型PC零組件網購平台notebooksbilliger.de(NBB)與Mindfactory接連傳出遭駭客入侵的消息。NBB除了住址、聯絡方式外,連IBAN(銀行帳戶代碼)都可能已經外流,而且外洩事件早在10月中旬就已曝光,卻直到11月才通知顧客。這起事件也讓德語圈的Lemmy社群c/dach掀起討論,網友紛紛分享網購時保護個資的實用招數,其中「訪客結帳」和信箱「別名(分流)」功能到底有多少防護效果,意見分成兩派。
一週前,我收到notebooksbilliger.de(NBB)寄來的信,說他們的電腦系統遭到未經授權入侵,除了住址、聯絡資訊外,IBAN(銀行帳戶代碼)也可能外流。實際上外洩事件似乎在10月中旬就已經曝光,直到11月初才通知部分受影響的顧客。
結果昨天又收到一封信,這次是Mindfactory,同樣是賣PC零件的網購公司出事了。可能外流的是聯絡方式、住址資料,還有加密過的密碼,銀行帳戶和信用卡資訊倒是沒有外洩。
出處:pcgameshardware.de / 原文連結
網友怎麼說
我也補一個。盡量用訪客結帳(不用註冊會員)解決。
另外,有空的時候我會去刪帳號,或是發GDPR(歐盟個資保護法)資料請求去清一清以前註冊過的紀錄。
讚!我都忘了這招。馬上加進整理清單裡!
還有,如果那家服務商本身就有別名功能,為什麼還要另外用addy.io?
我用posteo。不過免費能用的別名只有兩個,超過就要加錢。如果想每個帳號都配一個專用別名,費用很快就會疊上去。
喔,原來addy.io還能自己架設(self-hosting)。聽起來是個不錯的服務,我正好在找這種能讓自己跟iCloud拉開點距離的工具。
謝啦。
謝了!
嗯,我的情況也一模一樣 😁
上面就寫了啊 😉
>外流信箱被濫用基本上都是自動化機器人幹的,而會特地去除加號定址那段的機器人(目前)還是少數。
對,可以。不過我自己一直沒下手試。這會偏向「自架信箱伺服器」的範疇,容易踩雷(比如IP被垃圾信黑名單擋掉之類的…)。你有信心挑戰看看嗎?
我剛好發現有Docker化的版本,感覺至少能把一部分複雜度關進容器裡…
>不過我還是想說,我覺得八成的網路使用者根本跟不上這種對策。
+19.x%(同意)
>就算是訪客結帳,你的資料當然還是會留在那間店的資料庫裡,所以還是有被偷的可能。
不過那不是留在網購網站的「會員資料庫」裡,而只是以「訂單處理紀錄」的形式存在(對駭客來說吸引力比較低)。之後大概就只會留在物流部門當配送地址、留在會計部門做帳務處理而已。
話題背景與討論焦點
這次討論的核心是保護個資的實用技巧。德國依GDPR(歐盟一般資料保護規則)規定,企業發現外洩時有義務通知顧客,但NBB這次事件,從外洩曝光(10月中旬)到通知顧客(11月初)之間,據推測足足拖了好幾週。串裡意見分歧的地方在於,信箱的「加號定址(plus addressing)」(像[email protected]這樣,用+後面的字串做分流)到底有多大效果。12樓指出,外流資料被濫用大多是自動化機器人幹的,很多機器人目前還沒加上去除+後字串的處理,所以這招有用;相對地,9樓則持懷疑態度,認為「反正只要把+後面忽略掉,還是能輕易找出本來的信箱地址」。此外,就算用訪客結帳,訂單處理紀錄本身依然會留在店家系統裡,風險並沒有完全消除;而像addy.io這種專門做別名服務的工具,跟自己架設信箱伺服器的「自架(self-hosting)」是不同層次的事,能在不用自己維運伺服器的前提下,只享受分流功能的好處,這點也容易被讀者忽略。
※本文摘自海外論壇 Lemmy c/dach 的討論串「Dienstmeldung: Hacks bei deutschen Computer-Online-Shops {NBB und Mindfactory}」,由編輯部意譯為日文整理而成。譯文內容由本站負責。
發佈留言